Prinsip ini dalam pilar keamanan Google Cloud Framework Arsitektur membantu Anda memastikan keamanan yang komprehensif di seluruh workload cloud. Prinsip zero-trust menekankan praktik berikut:
- Menghapus kepercayaan implisit
- Menerapkan prinsip hak istimewa terendah ke kontrol akses
- Menerapkan validasi eksplisit untuk semua permintaan akses
- Mengadopsi pola pikir asumsi pelanggaran untuk memungkinkan pemantauan postur keamanan dan verifikasi berkelanjutan
Ringkasan prinsip
Model zero-trust mengalihkan fokus keamanan dari keamanan berbasis perimeter ke pendekatan yang tidak menganggap pengguna atau perangkat secara inheren tepercaya. Sebagai gantinya, setiap permintaan akses harus diverifikasi, terlepas dari asalnya. Pendekatan ini melibatkan autentikasi dan otorisasi setiap pengguna dan perangkat, memvalidasi konteksnya (lokasi dan postur perangkat), serta memberikan akses hak istimewa terendah hanya ke resource yang diperlukan.
Dengan menerapkan model zero-trust, organisasi Anda dapat meningkatkan postur keamanannya dengan meminimalkan dampak potensi pelanggaran dan melindungi data serta aplikasi sensitif dari akses yang tidak sah. Model zero-trust membantu Anda memastikan kerahasiaan, integritas, dan ketersediaan data serta resource di cloud.
Rekomendasi
Untuk menerapkan model zero-trust untuk workload cloud Anda, pertimbangkan rekomendasi di bagian berikut:
- Mengamankan jaringan Anda
- Memverifikasi setiap upaya akses secara eksplisit
- Memantau dan mengelola jaringan Anda
Mengamankan jaringan Anda
Rekomendasi ini relevan dengan area fokus berikut: Keamanan infrastruktur.
Bertransisi dari keamanan berbasis perimeter konvensional ke model zero-trust memerlukan beberapa langkah. Organisasi Anda mungkin telah mengintegrasikan kontrol zero-trust tertentu ke dalam postur keamanannya. Namun, model zero-trust bukanlah satu produk atau solusi. Sebaliknya, ini adalah integrasi menyeluruh dari beberapa lapisan keamanan dan praktik terbaik. Bagian ini menjelaskan rekomendasi dan teknik untuk menerapkan zero trust untuk keamanan jaringan.
- Kontrol akses: Terapkan kontrol akses berdasarkan identitas dan konteks pengguna dengan menggunakan solusi seperti Chrome Enterprise Premium dan Identity-Aware Proxy (IAP). Dengan melakukan hal ini, Anda mengalihkan keamanan dari perimeter jaringan ke setiap pengguna dan perangkat. Pendekatan ini memungkinkan kontrol akses terperinci dan mengurangi platform serangan.
- Keamanan jaringan: Mengamankan koneksi jaringan antara
lingkungan lokal, Google Cloud, dan multicloud Anda.
- Gunakan metode konektivitas pribadi dari Cloud Interconnect dan VPN IPsec.
- Untuk membantu mengamankan akses ke layanan dan API Google Cloud , gunakan Private Service Connect.
- Untuk membantu mengamankan akses keluar dari workload yang di-deploy di GKE Enterprise, gunakan gateway keluar Cloud Service Mesh.
- Desain jaringan: Cegah potensi risiko keamanan dengan menghapus jaringan default
di project yang ada dan menonaktifkan pembuatan jaringan default
di project baru.
- Untuk menghindari konflik, rencanakan alokasi jaringan dan alamat IP Anda dengan cermat.
- Untuk menerapkan kontrol akses yang efektif, batasi jumlah jaringan Virtual Private Cloud (VPC) per project.
- Segmentasi: Mengisolasi beban kerja, tetapi mempertahankan pengelolaan jaringan terpusat.
- Untuk menyegmentasikan jaringan, gunakan VPC Bersama.
- Tentukan kebijakan dan aturan firewall di tingkat organisasi, folder, dan jaringan VPC.
- Untuk mencegah pemindahan data yang tidak sah, buat perimeter aman di sekitar data dan layanan sensitif menggunakan Kontrol Layanan VPC.
- Keamanan perimeter: Melindungi dari serangan DDoS dan ancaman aplikasi web.
- Untuk melindungi dari ancaman, gunakan Google Cloud Armor.
- Konfigurasikan kebijakan keamanan untuk mengizinkan, menolak, atau mengalihkan traffic di edgeGoogle Cloud .
- Otomatisasi: Mengotomatiskan penyediaan infrastruktur dengan menerapkan prinsip infrastruktur sebagai kode (IaC) dan menggunakan alat seperti Terraform, Jenkins, dan Cloud Build. IaC membantu memastikan konfigurasi keamanan yang konsisten, deployment yang sederhana, dan rollback yang cepat jika terjadi masalah.
- Dasar yang aman: Buat lingkungan aplikasi yang aman dengan menggunakan Blueprint fondasi perusahaan. Blueprint ini memberikan panduan preskriptif dan skrip otomatisasi untuk membantu Anda menerapkan praktik terbaik keamanan dan mengonfigurasi resourceGoogle Cloud dengan aman.
Memverifikasi setiap upaya akses secara eksplisit
Rekomendasi ini relevan dengan area fokus berikut:
- Pengelolaan akses dan identitas
- Operasi keamanan (SecOps)
- Logging, audit, dan pemantauan
Terapkan mekanisme autentikasi dan otorisasi yang kuat untuk pengguna, perangkat, atau layanan apa pun yang mencoba mengakses resource cloud Anda. Jangan mengandalkan lokasi atau perimeter jaringan sebagai kontrol keamanan. Jangan otomatis memercayai pengguna, perangkat, atau layanan apa pun, meskipun mereka sudah berada di dalam jaringan. Sebagai gantinya, setiap upaya untuk mengakses resource harus diautentikasi dan diberi otorisasi secara ketat. Anda harus menerapkan langkah-langkah verifikasi identitas yang kuat, seperti autentikasi multi-faktor (MFA). Anda juga harus memastikan bahwa keputusan akses didasarkan pada kebijakan terperinci yang mempertimbangkan berbagai faktor kontekstual seperti peran pengguna, postur perangkat, dan lokasi.
Untuk menerapkan rekomendasi ini, gunakan metode, alat, dan teknologi berikut:
- Pengelolaan identitas terpadu: Memastikan pengelolaan identitas yang konsisten di seluruh organisasi Anda dengan menggunakan satu penyedia identitas (IdP).
- Google Cloud mendukung federasi dengan sebagian besar IdP, termasuk Active Directory lokal. Federasi memungkinkan Anda memperluas infrastruktur pengelolaan identitas yang ada ke Google Cloud dan mengaktifkan single sign-on (SSO) untuk pengguna.
- Jika Anda belum memiliki IdP, sebaiknya gunakan Cloud Identity Premium atau Google Workspace.
- Izin akun layanan terbatas: Gunakan
akun layanan
dengan cermat, dan patuhi prinsip hak istimewa terendah.
- Hanya berikan izin yang diperlukan untuk setiap akun layanan agar dapat melakukan tugas yang ditetapkan.
- Gunakan Workload Identity Federation untuk aplikasi yang berjalan di Google Kubernetes Engine (GKE) atau berjalan di luar Google Cloud untuk mengakses resource dengan aman.
- Proses yang andal: Perbarui proses identitas Anda agar sesuai dengan praktik terbaik keamanan cloud.
- Untuk membantu memastikan kepatuhan terhadap persyaratan peraturan, terapkan tata kelola identitas untuk melacak akses, risiko, dan pelanggaran kebijakan.
- Tinjau dan perbarui proses yang ada untuk memberikan dan mengaudit peran dan izin kontrol akses.
- Autentikasi yang kuat: Terapkan SSO untuk autentikasi pengguna dan
terapkan MFA untuk akun dengan hak istimewa.
- Google Cloud mendukung berbagai metode MFA, termasuk Kunci Keamanan Titan, untuk meningkatkan keamanan.
- Untuk autentikasi workload, gunakan OAuth 2.0 atau Token Web JSON (JWT) yang ditandatangani.
- Hak istimewa terendah: Minimalkan risiko akses yang tidak sah dan pelanggaran
data dengan menerapkan prinsip hak istimewa terendah dan pemisahan
tugas.
- Hindari penyediaan akses pengguna yang berlebihan.
- Pertimbangkan untuk menerapkan akses hak istimewa tepat waktu untuk operasi sensitif.
- Logging: Mengaktifkan logging audit untuk aktivitas administrator dan akses data.
- Untuk analisis dan deteksi ancaman, pindai log menggunakan Security Command Center Enterprise atau Google Security Operations.
- Konfigurasikan kebijakan retensi log yang sesuai untuk menyeimbangkan kebutuhan keamanan dengan biaya penyimpanan.
Memantau dan mengelola jaringan
Rekomendasi ini relevan dengan area fokus berikut:
- Logging, audit, dan pemantauan
- Keamanan aplikasi
- Operasi keamanan (SecOps)
- Keamanan infrastruktur
Saat Anda merencanakan dan menerapkan langkah-langkah keamanan, asumsikan bahwa penyerang sudah berada di dalam lingkungan Anda. Pendekatan proaktif ini melibatkan penggunaan beberapa alat dan teknik berikut untuk memberikan visibilitas ke jaringan Anda:
Logging dan pemantauan terpusat: Mengumpulkan dan menganalisis log keamanan dari semua resource cloud Anda melalui logging dan pemantauan terpusat.
- Tetapkan dasar pengukuran untuk perilaku jaringan normal, deteksi anomali, dan identifikasi potensi ancaman.
- Terus analisis alur traffic jaringan untuk mengidentifikasi pola yang mencurigakan dan potensi serangan.
Insight tentang performa dan keamanan jaringan: Gunakan alat seperti Network Analyzer. Pantau traffic untuk menemukan protokol yang tidak biasa, koneksi yang tidak terduga, atau lonjakan tiba-tiba dalam transfer data, yang dapat menunjukkan aktivitas berbahaya.
Pemindaian dan perbaikan kerentanan: Pindai jaringan dan aplikasi Anda secara berkala untuk menemukan kerentanan.
- Gunakan Web Security Scanner, yang dapat otomatis mengidentifikasi kerentanan di instance Compute Engine, container, dan cluster GKE Anda.
- Prioritaskan perbaikan berdasarkan tingkat keparahan kerentanan dan potensi dampaknya terhadap sistem Anda.
Deteksi intrusi: Memantau traffic jaringan untuk mendeteksi aktivitas berbahaya dan otomatis memblokir atau mendapatkan pemberitahuan untuk peristiwa yang mencurigakan menggunakan Cloud IDS dan layanan pencegahan penyusupan Cloud NGFW.
Analisis keamanan: Pertimbangkan untuk menerapkan Google SecOps untuk mengaitkan peristiwa keamanan dari berbagai sumber, memberikan analisis real-time terhadap notifikasi keamanan, dan memfasilitasi respons insiden.
Konfigurasi yang konsisten: Pastikan Anda memiliki konfigurasi keamanan yang konsisten di seluruh jaringan menggunakan alat pengelolaan konfigurasi.